Konfigurer Snowflake MCP til Notion

Dine tilpassede agenter og din Notion-agent kan oprette forbindelse til Snowflake via en MCP (Model Context Protocol)-server som Snowflake driver. Når serveren er konfigureret, kan du spørge din agent om dine data i Snowflake-warehouset og få svar direkte i Notion.

Konfigurationen foregår i flere trin, og ansvaret er fordelt:

• En Snowflake-administrator konfigurerer rollen, et warehouse og den Snowflake-administrerede MCP-server.

• En ejer eller administrator af et Notion-arbejdsområde konfigurerer MCP-forbindelsen til Snowflake for arbejdsområdet.

• Medlemmer af arbejdsområdet kan derefter oprette forbindelse til Snowflake MCP fra tilpassede agenter ved hjælp af deres egne Snowflake-legitimationsoplysninger eller forbinde Snowflake direkte til deres Notion-agent. Trin 1–10 i denne artikel er ens for begge fremgangsmåder. Fra trin 11 afhænger fremgangsmåden af hvilken agent du vil forbinde.

• De tilgængelige værktøjer kan variere afhængigt af din Snowflake-cloud-region.

• Snowflakes administrerede MCP-server er ikke tilgængelig på det kinesiske fastland eller i cloudregioner til offentlige myndigheder.

• Dit Notion-arbejdsområde skal være på et Business- eller Enterprise-abonnement.

• Brug Notion på nettet eller i desktopappen. Denne funktion er ikke tilgængelig på mobilen.

• Din virksomhed skal have en Snowflake-konto.

• For at bygge en tilpasset agent skal du have tilladelse til at oprette agenter i dit arbejdsområde.

Før dit team kan forbinde Snowflake til Notion, skal en Snowflake-administrator konfigurere adgangen. Dette er det mest omfattende trin, og du behøver kun at gøre det én gang. Samarbejd med administratoren af dit Notion-arbejdsområde: Notion leverer en omdirigerings-URI, og Snowflake leverer et OAuth-klient-id og en klienthemmelighed.

Du skal konfigurere en rolle og et warehouse, oprette den Snowflake-administrerede MCP-server, give den adgang til de ressourcer den har brug for, konfigurere OAuth-scope og sikkerhedsintegration samt tilføje en netværkspolitik hvis din organisation kræver det.

Udfyld dette arbejdsark sammen med administratoren af dit Notion-arbejdsområde før du starter. Medlemmer kan springe det over og logge ind med deres egne Snowflake-konti når konfigurationen er fuldført.

Kontoens værtsnavn indeholder bindestreger, ikke understregningstegn. Sørg for at hvert objektnavn i serverens webadresse matcher det tilsvarende objektnavn i Snowflake.

Brug en dedikeret rolle med færrest mulige rettigheder og ét godkendt warehouse når det er muligt.

Begrænset rolle uden sekundære roller (anbefales). Denne model er lettere at forstå og gennemgå. Indstil OAUTH_USE_SECONDARY_ROLES = NONE, angiv ALLOWED_ROLES_LIST, og brug Notion-scopet session:role:<mcp_access_role>.

En brugers sekundære standardroller (valgfrit). Brug kun denne model når serveren har brug for rettigheder der nedarves fra DEFAULT_SECONDARY_ROLES for hver bruger i Snowflake. Indstil OAUTH_USE_SECONDARY_ROLES = IMPLICIT, udelad ALLOWED_ROLES_LIST, og brug et eksplicit scope for den primære rolle. Snowflake tillader ikke IMPLICIT sekundære roller med ALLOWED_ROLES_LIST, så udelad tilladelseslisten når du bruger denne model.

Brug en dedikeret rolle med færrest mulige rettigheder til MCP-serveren når det er muligt.

Tildel denne rolle gennem din normale identitetsstyringsproces. Hvis Okta eller SCIM administrerer Snowflake-rolletilknytning, må du ikke tilføje brugere manuelt uden for denne proces.

Opret eller vælg en database og et skema der ejes af det team som skal køre serveren.

Til forretningsspørgsmål underlagt datastyring kan du eksponere en Cortex Agent som det værktøj medlemmerne bruger. Den samler semantiske visninger, verificerede forespørgsler, søgning og orkestrering på ét sted. En Cortex Agent er valgfri. Hvis du opretter en, skal du bruge specifikationen nedenfor. Hvis du udskifter en eksisterende agent, skal du sikre dig at erstatningen matcher din godkendte specifikation.

Andre understøttede Snowflake MCP-værktøjstyper inkluderer CORTEX_ANALYST_MESSAGE, CORTEX_SEARCH_SERVICE_QUERY, GENERIC og SYSTEM_EXECUTE_SQL.

Giv hvert værktøj et klart navn og en beskrivelse. Forklar hvilke data det dækker, hvor detaljerede resultaterne er, og hvornår det skal bruges. Det hjælper agenten med at vælge det rigtige værktøj.

USAGE-rettigheden på en MCP-server lader en rolle oprette forbindelse til serveren og finde dens værktøjer. Den giver ikke rollen adgang til warehouset, agenten, den semantiske visning, søgetjenesten, den lagrede procedure eller de underliggende data. Giv rollen adgang til hver ressource som serverens værktøjer har brug for.

Giv kun adgang til de yderligere ressourcer som hvert værktøj har brug for. Giv for eksempel SELECT på en godkendt semantisk visning, USAGE på en søgetjeneste i Cortex eller USAGE på en bestemt funktion eller procedure. Tildel ikke rollen til PUBLIC og tilføj ikke brede rettigheder for nuværende eller fremtidige objekter.

Før du opsætter OAuth, skal du kontrollere MCP-serveren og dens tildelinger:

Angiv i MCP-skemaet præcis hvilken rolle medlemmer skal anmode om:

Brug et eksplicit rollescope. Brug ikke session:role:all. Snowflake fortolker denne værdi som brugerens primære standardrolle – ikke som adgang til alle roller. Politikker for privilegerede roller kan også blokere den. Med en eksplicit rolle er det tydeligt hvilken adgang der anmodes om, og den er lettere at kontrollere.

Før du kører denne SQL, skal du tale med administratoren for dit Notion-arbejdsområde. Bed administratoren om at indtaste Snowflake-serverens URL i arbejdsområdets MCP-opsætning og slå Konfigurer godkendelse manuelt og Brug en OAuth-klient, der deles med arbejdsområdet til. Notion genererer en omdirigerings-URI. Kopiér den, og send den til Snowflake-administratoren. Når Snowflake har oprettet klient-id'et og den hemmelige klientnøgle, kan arbejdsområdets administrator afslutte opsætningen af forbindelsen.

Brug omdirigerings-URI'en præcis som Notion angiver den. Tilføj ikke en afsluttende skråstreg eller forespørgselsparametre, og ændr ikke værten.

Når du angiver IS_AGENTIC = TRUE, markeres sessioner fra denne integration som agentsessioner. Snowflakes funktion IS_AGENT_ACTIVATED() returnerer derefter TRUE, så Snowflake kan anvende agentspecifik kontrol og styring. Hvis du bruger den valgfrie model med sekundære roller, skal du angive OAUTH_USE_SECONDARY_ROLES = IMPLICIT og udelade ALLOWED_ROLES_LIST.

Gyldighedsperioden for opdateringstokenet på 7776000 sekunder svarer til 90 dage. Før du bruger den, skal du bekræfte, at den stemmer overens med din organisations politikker for genautorisation og tokenrotation. Ved rutinemæssige ændringer bør du undgå CREATE OR REPLACE SECURITY INTEGRATION. Udskiftning af integrationen kan afbryde eksisterende forbindelser.

Kør følgende for at kontrollere integrationen uden at vise dens hemmelige nøgle:

Bekræft, at integrationen er slået til, at omdirigerings-URI'en stemmer præcis overens, at rollen er tilladt og ikke blokeret, at opdateringstokens og PKCE er slået til, og at både endpointet til autorisation og endpointet til tokens bruger Snowflakes offentlige vært for kontoen.

Dette trin er kun nødvendigt, hvis din organisation kræver en netværkspolitik. Bed din sikkerheds- eller netværksansvarlige om at godkende Notions aktuelle IP-adresseintervaller for udgående trafik.

OAuth-integrationen skal tillade begge Notion-stier:

1. API-stien, der håndterer OAuth-callbacks og udveksler autorisationskoder

2. stien til arbejdsområdets kørselsmiljø, der validerer forbindelsen, kører værktøjer og opdaterer tokens

Disse stier kan bruge forskellige udgående IP-adresser fra Notion. Hvis du kun tillader den adresse, der blev brugt under den indledende tokenudveksling, kan login lykkes, men validering eller tokenopdatering kan mislykkes. Brug Notions aktuelle, godkendte IP-adresseintervaller for udgående trafik. Føj ikke en enkeltstående IP-adresse fra en browser eller en log til en tilladelsesliste for produktion.

Knyt denne netværkspolitik til OAuth-integrationen, ikke til enkelte brugere. Ændr ikke dine politikker for hele kontoen vedrørende browserlogin, VPN-adgang eller brugernes netværksadgang. Hvis en netværkspolitik blokerer en tokenanmodning, kan Snowflake returnere invalid_client. Fejlen betyder ikke nødvendigvis, at klient-id'et eller den hemmelige nøgle er forkert.

Kør dette i et sikkert Snowflake-regneark. Integrationsnavnet skelner mellem store og små bogstaver og skrives normalt med store bogstaver:

Del klient-id'et og den tilhørende hemmelige nøgle med en administrator for dit Notion-arbejdsområde via en godkendt, sikker kanal. Snowflake leverer to gyldige hemmelige nøgler, så du kan skifte mellem dem uden nedetid. Indsæt aldrig nogen af de hemmelige nøgler i dokumentation, chat, supportsager eller versionsstyring.

Når Snowflake er klar, tilføjer en ejer eller administrator af arbejdsområdet serveren én gang for arbejdsområdet. Medlemmer kan derefter finde den uden at se den hemmelige OAuth-klientnøgle, uanset om de forbinder Snowflake MCP til en tilpasset agent eller til deres egen Notion-agent.

1. Gå til Indstillinger for arbejdsområdet.

2. Vælg Forbindelser → Delte MCP'er for arbejdsområdet.

3. Vælg Ny MCP til arbejdsområdet.

Udfyld disse felter, og vælg derefter Tilføj MCP-server:

Når du har gemt, skal du bekræfte, at den nye række vises under Delt med dette arbejdsområde, og at Arbejdsområdets OAuth-klient viser Konfigureret.

Hvad denne opsætning gør:

• Hjælper medlemmer med at finde den godkendte server.

• Gemmer den hemmelige OAuth-klientnøgle én gang i Notions krypterede lager til forbindelser.

• Sikrer, at medlemmer logger ind med den server-URL, den klient og de scopes du har godkendt.

• Opretter ikke en delt Snowflake-session og omgår ikke Snowflakes adgangskontroller.

• Opretter ikke automatisk forbindelse for alle medlemmer. Hver person skal logge ind separat.

Hvis du fjerner denne opsætning, kan nye medlemmer ikke længere finde serveren. Eksisterende forbindelser kan stadig blive vist. Sørg derfor også for at tilbagekalde Snowflake-rettigheder og fjerne eksisterende forbindelser.

Når dine administratorer har gjort Snowflake-MCP-forbindelsen klar, kan du bruge den på to måder. Hvis du sætter den op for et team, skal du starte med 11A. Hvis du bare vil stille dine egne spørgsmål, skal du gå til 11B. Du kan også gøre begge dele. Det er separate forbindelser.

En tilpasset agent giver dit team ét sted at stille spørgsmål om Snowflake-data. Du forbinder Snowflake én gang, tilføjer instruktioner om dine nøgletal og tabeller og deler agenten med teamet. Alle der bruger den, skal logge ind på Snowflake med deres egne legitimationsoplysninger. Så får hver person kun svar baseret på data vedkommende har adgang til.

Forbind Snowflake til en tilpasset agent

1. Åbn din tilpassede agent, eller opret en ny.

2. Gå til Indstillinger → Værktøjer og adgang.

3. Vælg Tilføj forbindelse, og vælg derefter Snowflake-serveren mærket Administreret af arbejdsområdet. Vælg ikke Brugerdefineret MCP-server, og indtast ikke serverens webadresse manuelt.

4. Log ind på Snowflake i din browser. Dit sædvanlige login via organisationens Okta eller SSO vises muligvis.

5. Gennemse og godkend den anmodede Snowflake-rolle.

6. Vælg, hvilke værktøjer agenten må bruge. Lad værktøjer med skriveadgang og CORTEX_AGENT_RUN være indstillet til at bede om godkendelse, indtil du har testet dem.

7. Vælg Forbind, og bekræft, at forbindelsen vises som Forbundet.

Giv agenten kontekst

Forbindelsen giver agenten adgang til Snowflake. Dine instruktioner fortæller den hvordan din virksomhed bruger dataene. Beskriv i agentens instruktioner hvilke værktøjer den skal bruge til forskellige spørgsmål, hvordan dit team definerer nøgletal, og hvilke tabeller eller semantiske visninger den skal starte med. Et par spørgsmål med bekræftede svar kan gøre en stor forskel. Du kan finde et færdigt udgangspunkt i vejledningen til Data Scout-værktøjssættet.

Del agenten

Del agenten med dit team på samme måde som du deler andre tilpassede agenter. Første gang nogen stiller den et spørgsmål der kræver Snowflake, bliver de bedt om at logge ind med deres egen Snowflake-konto. De bliver ikke bedt om et klient-id eller en klienthemmelighed.

Hvis du vil stille dine egne spørgsmål i din egen chat, skal du forbinde Snowflake til din Notion-agent. Du logger ind med din egen Snowflake-konto, så din agent kun får adgang til det, du har tilladelse til at se.

1. Gå til Indstillinger → Notion AI.

2. Under MCP-servere skal du vælge Tilføj MCP-server.

3. Vælg Snowflake-serveren mærket Administreret af arbejdsområdet. Vælg ikke Brugerdefineret MCP-server, og indtast ikke serverens webadresse manuelt.

4. Vælg Forbind.

5. Log ind på Snowflake i din browser. Dit sædvanlige login via organisationens Okta eller SSO vises muligvis.

6. Gennemse og godkend den anmodede Snowflake-rolle.

7. Når din browser spørger, om den skal åbne Notion, skal du vælge Åbn Notion.

8. Bekræft, at serverstatus er Forbundet, ikke Kræver godkendelse.

Når du har oprettet forbindelse, vises Snowflake i Alle kilder → MCP-servere i chatten.

1. Stil et harmløst spørgsmål med et kendt svar som agenten skal bruge Snowflake til at besvare.

2. Bekræft, at agenten bruger Snowflake og returnerer et resultat.

3. Bekræft, at du ikke kan få adgang til data uden for den rolle, du har fået tildelt.

Hvis du har opsat en tilpasset agent, skal du også bede et teammedlem med en mere begrænset Snowflake-rolle om at prøve den. Vedkommende bør kun se sine egne data, ikke dine. Det er den hurtigste måde at bekræfte, at agenten bruger hver enkelt persons adgang i stedet for adgangsrettighederne hos den, der oprettede agenten.

Bed din Snowflake-administrator om at kontrollere din bruger, rolle, dit warehouse og din forespørgselshistorik, hvis du vil undersøge det nærmere. Et vellykket login bekræfter din identitet, men ikke at alle adgangsrettigheder er korrekte.

Stil agenten et specifikt spørgsmål om dine Snowflake-data. For eksempel:

• "Hvad var vores samlede antal tilmeldinger i sidste måned ifølge Snowflake?"

• "Hvilke af vores konti havde den højeste omsætning i dette kvartal ifølge Snowflake? Vis de ti øverste."

Med en tilpasset agent kan du normalt springe "fra Snowflake" over, når dens instruktioner gør det klart, hvornår den skal bruges. Med din Notion-agent hjælper det at nævne Snowflake, så agenten kan vælge den rigtige kilde.

Store anmodninger kan tage længere tid eller overskride tidsgrænsen. Hvis det sker, så stil et mere specifikt spørgsmål eller opdel anmodningen i mindre spørgsmål.

Det meste af tiden forbliver du forbundet uden at gøre noget. Snowflake bruger kortlivede adgangstokens, og Notion opdaterer dem i baggrunden. Et udløbende adgangstoken i sig selv vil ikke afbryde din forbindelse.

Du skal logge ind igen, hvis:

• Dit opdateringstoken udløber, eller en administrator tilbagekalder det

• En administrator erstatter OAuth-integrationen eller klienthemmeligheden

• Din Snowflake-rolle fjernes

• En administrator fjerner arbejdsområdets opsætning eller din forbindelse

• En netværkspolitik blokerer for opdatering af tokenet

Med en tilpasset agent er hver persons login separat. Hvis én person bliver bedt om at logge ind igen, påvirker det ikke andre, og personen, der byggede agenten, behøver ikke at gøre noget.

Hvis du roterer klienthemmeligheden: Brug Snowflakes rotation med to hemmeligheder i stedet for at erstatte integrationen. Hold begge hemmeligheder gyldige længe nok til at opdatere og teste arbejdsområdets opsætning, før du udfaser den gamle.

ALTER SECURITY INTEGRATION <oauth_integration_name>
REFRESH OAUTH_CLIENT_SECRET_2;

• Snowflake MCP-forbindelsen er ikke på listen. Administratøren for dit arbejdsområde har muligvis ikke tilføjet den endnu, eller dit arbejdsområde begrænser muligvis brugerdefinerede servere. Bed din administrator om hjælp.

• Du bliver bedt om et klient-id eller en klienthemmelighed. Du har sandsynligvis valgt en brugerdefineret MCP-server. Gå tilbage, og vælg i stedet Snowflake-serveren mærket Administreret af arbejdsområdet.

• Du bliver bedt om at logge ind igen. Din Snowflake-session er muligvis udløbet, eller en administrator har muligvis opdateret forbindelsen. Log ind på Snowflake igen.

• Du åbnede en tilpasset agent, og den bad dig om at logge ind på Snowflake. Det er normalt første gang. Alle der bruger en administreret tilpasset agent, skal logge ind med deres egen Snowflake-konto.

• Et teammedlem får andre resultater fra den samme tilpassede agent. Det er normalt. Agenten bruger hver persons Snowflake-adgang, så personer med forskellige roller ser forskellige data.

• Den tilpassede agent fungerer i chatten, men ikke efter en tidsplan. Ingen er logget ind under planlagte og udløste kørsler. Derfor kan de endnu ikke bruge Snowflake med personligt login.

• Du er logget ind, men forbindelsen kan ikke oprettes, eller værktøjerne fejler. Login beviser, hvem du er, men din adgang afhænger stadig af dine Snowflake-rettigheder. Bed din Snowflake-administrator om at bekræfte, at din rolle kan få adgang til serveren, warehouse, agenten og dataene.

• Agenten kan ikke finde en tabel. Agenten kan kun få adgang til de data, som din Snowflake-konto kan få adgang til. Tjek dine Snowflake-tilladelser, og inkluder tabelnavnet i dit spørgsmål.

• En anmodning overskrider tidsgrænsen. Stil et mere specifikt spørgsmål, eller del din anmodning op i mindre spørgsmål.

Disse fejl stammer normalt fra Snowflake-indstillinger, ikke Notion. Del dem med din Snowflake-administrator.

• Server-URL'en ser ud til at være fordoblet, for eksempel sådan her: https://https%3A... Adressen er blevet indsat med et ekstra https:// foran. Ret den, så URL'en kun starter med ét https://.

• Du ser "This server does not support OAuth authentication." Sikkerhedsintegrationen er ikke sat op til OAuth, eller server-URL'en er forkert. Bed din Snowflake-administrator om at tjekke OAuth-sikkerhedsintegrationen og server-URL'en.

• Du ser invalid_client under login eller opdatering. Klient-id'et eller klienthemmeligheden er forkert, eller klienthemmeligheden er blevet ændret. Bed din administrator om det aktuelle klient-id og den aktuelle klienthemmelighed.

• Login fungerer, men fejler med det samme. Din rolle har muligvis ikke adgang til serveren, eller en rolle eller netværksregel blokerer sessionen. Bed din administrator om at tjekke dine rettigheder og politikker.

• Du ser "The role ALL requested has been explicitly blocked." Forbindelsen anmodede om alle roller på én gang (session:role:all), hvilket er blokeret. Brug i stedet én bestemt rolle, for eksempel session:role:analyst, med dit faktiske rollenavn.

• Du ser en omdirigeringsfejl (fejl 390307). Omdirigerings-URL'en, der er gemt i Snowflake, matcher ikke den, Notion bruger. Bed din administrator om at indstille omdirigerings-URL'en på sikkerhedsintegrationen til den nøjagtige Notion-værdi.

• Du ser fejl 390311 om en ugyldig kodeudfordring. Det betyder, at PKCE-værdierne ikke stemmer overens. Bed din administrator om at kontrollere, at OAUTH_ENFORCE_PKCE er indstillet korrekt i sikkerhedsintegrationen.

• Du er forbundet, men ingen værktøjer vises. Din rolle mangler muligvis USAGE på MCP-serveren. Bed din administrator om at bekræfte rettigheden, og kør derefter DESCRIBE MCP SERVER for at tjekke opsætningen.

• Du kan få adgang til mere eller mindre data, end du forventede. Sekundære roller ændrer, hvad din session kan se. Tjek, hvilke roller der er aktive i din session sammen med din administrator.

• Det virkede før, og nu fejler det for alle efter en ændring af klienthemmeligheden. Klienthemmeligheden blev udskiftet, så den gemte forbindelse er forældet. Bed din administrator om den nye hemmelighed, og opret derefter forbindelse igen.

• Det virkede før, og nu fejler det kun for dig. En rolle, rettighed eller politik kan være ændret, eller din session er udløbet. Log ind igen, og bed derefter din administrator om at bekræfte, at din adgang ikke er ændret.

• Dit konto-id afvises. Brug formatet organization-account med bindestreg, for eksempel myorg-myaccount, og ikke punktummer.

• En PrivateLink-konto kan ikke oprette forbindelse. PrivateLink-konti kræver ekstra netværksopsætning. Spørg din administrator, om PrivateLink tillader Notion-forbindelsen.

• Snowflake er ikke tilgængelig i planlagte kørsler eller kørsler startet af en udløser. Ingen er logget ind under disse kørsler, så de kan endnu ikke bruge individuelt login. Kør i stedet din anmodning i chatten.

• Du ser oauth_security_error efter at have logget ind via browseren. En netværkspolitik på kontoniveau blokerer muligvis anmodningen. Din administrator kan bekræfte dette ved at køre:

• Login ser ud til at fungere, men du får en rollefejl, selv med det rette scope. Din standardrolle kan være blokeret, for eksempel ACCOUNTADMIN eller en rolle i BLOCKED_ROLES_LIST. Din administrator kan tjekke og rette det:

Disse skrivebeskyttede kommandoer hjælper din administrator med at bekræfte opsætningen uden at ændre noget. Kør dem i Snowflake.

Brug disse Snowflake-vejledninger til at fuldføre opsætningen:

• Snowflake-administreret MCP-server

• Oprette en Snowflake OAuth-sikkerhedsintegration

• Snowflake OAuth til brugerdefinerede klienter

• Oversigt over Snowflake OAuth

• Snowflake-kontoidentifikatorer

• Tilpassede agenter

• MCP-forbindelser til Tilpassede agenter

• Forbinde MCP-servere til din Notion-agent

• Bedste praksis for sikkerhed ved agentforbindelser